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= (54) Title: SYSTEM FOR CARRYING OUT A TRANSACTION 

IS (54) Bezeichnung: SYSTEM ZUR AUSFUHRUNG EINER TRANSACTION 

(57) Abstract: The invention relates to a system for carrying out transactions using terminals that basically enable the execution 
of a plurality of different transactions. To this end, the terminals (10, 1 1) are connected to at least one node computer (40, 41) by 
a terminal network (30) that can be set up for carrying out a transaction. Appropriateness to execute another transaction that has 
^1 not been hitherto prepared can be subsequently established at any time without requiring any special setup measures. A terminal 
^ (10, 1 1) requests data from a node computer (40, 41) which responds to a triggering signal characterizing the other transaction, said 
^< data providing the functionality needed to carry out the other transaction. Execution of the transaction is then effected by interaction 
^ between the terminal (10, 1 1) and a node computer (40, 41). 

(57) Zusammenfassung: Vorgeschlagen wird ein System zur Ausfuhrung von Transaktionen mit Endgeraten, welche gmndsatz- 
^ Hch die Ausfuhrung einer Vielzahl verschiedener Transaktionen erlauben. Die Endgerate (10, 1 1) sind dazu iiber ein Endgeratenetz 
(30) mit mindestens einem Knotenrechner (40, 41) verbunden, Uber den sie zur Ausfuhrung einer Transaktion einrichtbar sind. Die 
^ Eignung zur Ausfuhrung einer weiteren, bis dahin nicht vorbereiteten Transaktion lasst sich dabei jederzeit ohne spezielle Ein- 
richtungsmassnahmen nachtraglich herstellen. Ein Endgerat (10, 11) fordert dazu auf ein die weitere Transaktion bezeichnendes 
Auslosesignal hin von einem Knotenrechner (40, 41) Daten an, welche die zur Ausfuhrung der weiteren Transaktion benotigte 
Funktionalitat herstellen. Die Ausfuhrung der Transaktion erfolgt dann in Wechselwirkung zwischen einem Endgerat (10, 11) und 
^ einem Knotenrechner (40, 41). 
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System zur Ausftihrung einer Transaktion 

Die Erfindung geht aus von einem System nach der Gattung des Hauptan- 
spruchs. 

5 

Ein solches ist bekannt aus der EP-B-0 305 004. Darin ist ein System zur Aus- 
fiihrung von Finanztransaktionen beschrieben, welches benutzerseitig Ter- 
minals vorsieht, von denen jeweils mehrere in Parallelanordnung mit einem 
sogenannten Konzentrator verbunden sind. Die Konzentratoren ihrerseits 

10 sind in Parallelanordnung iiber ein Banknetz rnit einem Hintergrundbanksy- 
stem verbunden. Die Verbindimgen zwischen den Systemteilen sind unab- 
hangig voneinander gegen Ausforschen des iiber sie erfolgenden Datenver- 
kehrs gesichert. Zur Sicherung der Verbindungen zwischen Terminals und 
Konzentratoren dienen Sicherheitsboxen, welche terminalseitig vorzugswei- 

15 se in Form von Smartcards ausgefuhrt sind. Mafigebliches Element der Sy- 
stems truktur sind die Konzentratoren, welche die Kommunikation mit dem 
Hintergrundsystem durchftihren und iiber samtliche dazu benotigte Mittel 
verfiigen. Die mit einem Konzentrator verbundenen Terminals sind nur zur 
Kommunikation mit dem jeweils vorgeschalteten Konzentrator befahigt. Der 

20 Aufbau der Terminals kann dadurch einf ach gehalten werden. 

Eine Schwierigkeit bei Vielteilnehmer-Systemen wie dem vorgenannten ist 
die Einrichtung neuer oder die Anderung bestehender Systemmerkmale. Die 
damit verbundene Problematik wird vor allem off ensichtlich, wenn eine 

25 vorzunehmende Systemanderung, etwa die Einfiihrung eines neuen Softwa- 
resicherheitsmerkmals, mindestens zwei Systemteilnehmer betrifft und diese 
technisch nicht identisch sind. Fiir jeden Teilnehmertyp ist die Systemanpas- 
sung dann in der Regel typindividuell vorzunehmen. Ist die Funktionalitat 
eines Endgerates dabei nicht nachtraglich anderbar, ist ein kompletter Aus- 

30 tausch des Endgerates erforderlich. 
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Aus der DE-A1-38 15 071 ist es desweiteren bekannt, ein Kommunikations- 
sendgerat in Gestalt eines BUdschirmtextterminals oder eines Fernseh- 
empfangsgerates durch Nachladen von Programmpaketen an eine gegebene 
Nutzungssituation am Einsatzort anzupassen. Das Gerat verfugt iiber eine 
5 Mikroprozessoreinheit, eine Speichereinrichtung, eine Schnittstelle zu einer 
externen Programmquelle sowie iiber mehrere unter Steuerung der Mikro- 
prozessoreinheit steuerbare Baugruppen. Aktivierung und Steuerung der 
Baugruppen erfolgen mit Hilfe von Applikationsprogrammpaketen, welche 
von der externen Programmquelle vor erstmaliger Nutzung des Gerates in 
10 die Speichereinrichtung iibertragen werden. Das vorgeschlagene Konzept 
gestattet die Fertigung technisch einheitlicher Gerate, die durch Laden von 
jeweils entsprechenden Applikationsprogrammpaketen vor Ort auf den Ein- 
satzort abgestimmt werden. 

15 Das in DE-A-38 15 071 beschriebene Konzept bietet den grofiten Nutzen, 

wenn die Kommunikationsgerate herstellerseitig zur Ausfuhrung aller iiber- 
haupt moglichen Funktionen vorbereitet sind und iiber alle dazu notwendi- 
gen Baugruppen sowie eine entsprechend grofi ausgelegte Speichereinrich- 
tung verfiigen. Kommunikationsgerate dieser Art lassen sich zwar durch 

20 Massenfertigung vergleichsweise giinstig herstellen, sind aber fur viele An- 
wendungen iiberdimensioniert. Die alltagliche Nutzung der Gerate setzt im 
iibrigen voraus, dafi das jeweilige Gerat bei der Einrichtung durch Laden 
eines entsprechenden Applikationsprogrammpaketes zur Ausfuhrung der 
gewiinschten Funktion vorbereitet wurde. Es konnen, anders ausgedriickt, 

25 nur Funktionalitaten genutzt werden, die in einem gesonderten Einricht- 

schritt zuvor eingerichtet wurden. Jede neue Funktionalitat oder jede Ande- 
rung einer bestehenden mufi in einem gesonderten Bedienungsschritt einge- 
richtet werden. 
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Der Erfindung liegt die Auf gabe zugrunde, ein flexibles Transaktionssystem 
mit moglichst einfach auf gebauten Endgeraten anzugeben, das die Einfiih- 
rung neuer Systemmerkmale oder die Anderung bestehender vereinf acht 

5 Diese Auf gabe wird gelost durch ein System mit den Merkmalen des 

Hauptanspruchs. Zur Losung der Auf gabe fuhren desweiteren ein Endgerat 
gemafi unabhangigem Anspruch 9 sowie ein Verfahren gemafi dem unab- 
hangigen Anspruch 19. 

10 Fur das erfindungsgemafie System ist bezeichnend, dafi die Funktionalitat 
eines Endgerates nicht durch seine technische Gestaltung bzw. Einrichtung. 
dauerhaft festgelegt wird sondern variabel ist und erst durch Software be- 
stimmt wird, welche es von einem vorgeschalteten Knotenrechner erhalt. 
Hinsichtlich der technischen Ausgestaltung der Endgerates besteht nur die 

15 Vorgabe, dafi sie in der Lage sind, von den Knotenrechnern zugefiihrte 

Software iibernehmen xind ausfuhren zu konnen. Im Rahmen dieser Vorgabe 
konnen die Endgerate frei und insbesondere unabhangig von ihrer spateren 
Funktionalitat ausgefuhrt sein. Vorteilhaft konnen dabei Endgerate fur ganz 
unterschiedliche Transaktionen technisch einheitlich ausgefuhrt sein. Durch 

20 Verlagerung wesentlicher Teile der moglichen Funktionaiitaten in die Kno- 
tenrechner ist eine einf ache Ausfiihrung der Endgerate moglich. In vorteil- 
hafter Weise kann dadurch auch die Schnitts telle Terminal-Knotenrechner 
unabhangig von der Funktionalitat des Endgerates, damit unabhangig von 
der Art des Endgerates und damit einheitlich fiir alle Terminalarten definiert 

25 werden. Die in einem festen Rahmen freie Gestaltbarkeit der Endgerates in 
Verbindung mit einer einheitlichen Gestaltung der Schnittstellen Terminal- 
Knotenrechner erleichtert wesentlich die Einrichtung neuer Systemsoftwa- 
remerkmale und/ oder die Anderung bestehender. Eine besonders giinstige 
Ausgestaltung sieht vor, dafi Systemandenmgen nahezu verzogerungsfrei 
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an den Endgeraten wirksam werden. Indem seine Funktionalitat grundsatz- 
lich jederzeit frei konf igurierbar ist, kann jedes Endgerat zur Ausf uhrung 
mehrerer verschiedener Transaktionen verwendet werden. Auch lassen sich 
Terminalf unktionalitaten jederzeit neu einrichten und wird die Entwicklung 
5 von Software fur neue Funktionalitaten wesentlich erleichtert, da Schnittstel- 
len, Netz- oder Terminalbesonderheiten nicht zu beachten sind. Deutiich 
erleichtert werden desweiteren Service- und Wartungsroutinen. 

Das vorgeschlagene Transaktionssystem eignet sich unter anderem zur Ver- 
10 wendung in Bank- oder Zahlungsverkehrsanwendungen, zur Ausgabe elek- 
tronischer Fahrscheine oder als Krankenversicherungskarte. 

Ein erf indungsgemafies Endgerat gemafi dem unabhangigen Anspruch 9 
zeichnet sich dadurch aus, dafi es den Aufbau eines Transaktionssystems 
15 gemafi Hauptanspruch ermoglicht. 

Das erfindungsgemafie Verfahren gemafi unabhangigem Anspruch 19 hat 
den Vorteil, dafi seine Durchf iihrung auf ein System gemafi dem Hauptan- 
spruch fiihrt. 

20 

Weitere zweckmafiige Ausgestaltungen und vorteilhaf te Weiterbildungen 
des Systems gemafi Hauptanspruch, des Endgerates gemafi unabhangigem 
Anspruch 9 bzw. des Verfahrens gemafi unabhangigem Anspruch 19 erge- 
ben sich aus den jeweils riickbezogenen Unteranspriichen. 

25 

Ein Ausfiihrungsbeispiel der Erfindung wird nachfolgend unter Bezugnah- 
me auf die Zeichnxmg naher erlautert. 
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Es zeigen: 

die Struktur eines Transaktionssystems, 
einen Ausschnitt aus der in Figur 1 gezeigten Struktur, 
ein FluEdiagramm zur Veranschaulichung des Betriebes eines 
Transaktionssystems, 
ein Flufidiagramm einer Betriebsvariante, 

ein Beispiel fur einen Datenaustausch zwischen einem Endgerat 
und einem Knotenrechner, 

einen Datenaustausch bei Verwendung eines Endgerates zur 
Ausgabe eines elektronschen Fahrscheins, 
einen Datenaustausch bei Verwendung eines Endgerates zur 
Handhabung von Krankenversicherungskarten. 

15 Figur 1 zeigt ein Endgerat 11 zur Ausftihrung einer Transaktion, welches 
iiber ein Endgeratenetz 30 mit einem Knotenrechner 40 verbunden ist. Der 
Knotenrechner 40 ist seinerseits iiber ein Hintergrundnetz 50 mit einer Zen- 
traleinheit 60 verbunden. An das Endgeratenetz 30 konnen parallel zum 
Endgerat 11 weitere Endgerate 10 angeschlossen sein, welche dieselbe 

20 Grtindstruktur wie das Endgerat 11 aufweisen, aber nicht baugleich mit die- 
sem sein miissen. An das Hintergrundnetz 50 konnen parallel zum Knoten- 
rechner 41 weitere Knotenrechner 40 angeschlossen sein, von denen jeweils 
wiederum ein Endgeratenetz 30 ausgeht, an das ein oder mehrere Endgerate 
10 angeschlossen sind. An das Hintergrundnetz 50 konnen weiterhin parallel 

25 zur Zentraleinheit 60 weitere Zentraleinheiten 61 angeschlossen sein. Endge- 
ratenetz 30 und Hintergrundnetz 50 konnen ganz oder teilweise als Fest- 
oder drahtlose Netze ausgefuhrt sein; insbesondere das Endgeratenetz 30 
kann dabei iiber das Internet realisiert sein. Entsprechend kann die Anbin- 
dung der Endgerate 10, 11, der Knotenrechner 40, 41 und auch der Zen- 
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traleinheiten 60, 61 an die jeweiligen Netze 30, 50 drahtgebunden und/oder 
kontaktlos erf olgen. 

Die in Fig. 1 dargestellte Netzstruktur ermoglicht die Durchfxihrung einer 
5 Vielzahl von unterschiedlichen Transaktionen, unter anderem zur Ausfiih- 
rung von Zahlungsfunktionen in Form von Lastschriftverf ahren oder als 
Geldborse, Kreditkartenfunktionen, Kundenkartenfunktionen, Applikatio- 
nen eines Endgeratenutzers, Krankenversicherungsfunktionen, Service- und 
Wartungsfunktionen oder Diagnosefunktionen. 

10 

Fig. 2 zeigt in detaillierterer Form einen Ausschnitt aus der in Fig. 1 veran- 
schaulichten Netzstruktur mit einem Endgerat 11, einem Knotenrechner 41 
und einer Zentraleinheit 61. Ein Hauptbestandteil des Endgerates 11 ist ein 
Mikroprozessor 12, welcher iiber einen gerateinternen Bus 16 mit einer Spei- 

15 chereinrichtung 20, einer Bedienvorrichtung 13, einer Bildanzeigeeinheit 14, 
einer Nutzerdatenschnittstelle 15, einer kontaktierenden oder kontaktlosen 
Schnittstelle 16 zum Endgeratenetz 30 sowie einer Sicherheitsbox 17 verbun- 
den ist. Die Speichereinrichtung 20 gliedert sich in an sich bekannter Weise 
in einen fluchtigen Abschnitt 21, iiblicherweise in Gestalt eines RAMs, der 

20 insbesondere als Arbeitsspeicher fiir den Prozessor 12 dient, sowie einen 

nichtfluchtigen Abschnitt 22, der wiederum in einen nur lesbaren Bereich 23, 
iiblicherweise in Gestalt eines ROMs, sowie einen les- und beschreibbaren 
Bereich 24, iiblicherweise in Gestalt eines EEPROMs, gegliedert ist. Im Nur- 
Lesebereich 23 befinden sich insbesondere Urbetriebsprogrammdaten, wel- 

25 che fiir die Herstellung einer Grundbetriebsbereitschaft des Endgerates 11 
unerlafilich sind und die nachtraglich nicht mehr verandert werden diirfen, 
insbesondere ein Urladeprogramm zum Laden von Programmpaketen zur 
Festlegung der Endgeratefunktionalitat. Im les- und beschreibbaren Bereich 
24 finden sich vorzugsweise alle Daten, die in Verbindung mit im nur lesba- 
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ren Bereich 23 enthaltenen Urbetriebsprogramrndaten die Funktionalitat des 
Endgerates herstellen. 

Die Bedienvorrichtung 13 ermoglicht einern Benutzer das Auslosen 
5 und/oder das Weiterftihren einer Transaktion. Sie verfiigt dazu iiber Betati- 
gungsmittel, mittels derer der Benutzer Steuersignale erzeugen kann, welche 
iiber den Bus 16 dem Prozessor 12 zugefiihrt werden. Die Eingabe der Steu- 
ersignale wird durch Anzeigen auf der Bildanzeigeeinheit 14 unterstutzt. In 
einer gangigen Ausfiihrungsform ist die Bedienvorrichtung als Tastenfeld 
10 ausgefuhrt, welches zweckmafiig in Form von Softkeys in die Bildanzeige- 
einheit 14 integriert sein kann. Zur Erhohung der Systemsicherheit kann die 
Bedienvorrichtung 13 Mittel zur Identifizierung eines Benutzers aufweisen, 
etwa biometrische Daten auswertende Einrichtungen wie eine Fingerab- 
druckerkennungseinxichtung. 

15 

Die Nutzerdatenschnittstelle 15 ist vorzugsweise als Lese-/Schreibeinheit 
zur Kommunikation mit einem tragbaren Datentrager 80 ausgebildet, wel- 
cher fur die nachfolgende Beschreibung einen Teil des Endgerates 11 bildet. 
Der Datentrager 80 tragt einen Mikrocomputer 81, der seinerseits einen Mi- 

20 kroprozessor sowie einen Speicher aufweist, wobei letzterer grundsatzlich 
wie die Speichereinrichtung 20 auf gebaut sein kann. Die Koriunurukation 
zwischen Nutzerdatenschnittstelle 15 und Mikrocomputer 81 kann kontakt- 
behaftet oder kontaktlos erfolgen. Der tragbare Datentrager 80 ist zweck- 
maCig als Chip- oder Magnetstreifenkarte ausgefiihrt, kann aber auch belie- 

25 bige andere Erscheinungsformen haben, etwa die Gestalt einer Armbanduhr. 

Die Sicherheitsbox 17 unterstutzt die Systemsicherheit und beinhaltet Infor- 
mationen, mittels derer iiber die Schnittstelle 16 an das Endgeratenetz 30 
ausgegebene und von dort eingehende Informationen ver- bzw. entschliisselt 
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werden, um so ein Ausf orschen des iiber das Endgeratenetz 30 erfolgenden 
Datenverkehrs durch Unberechtigte zu verhindern. 

Der tragbare Datentrager 80 enthalt Informationen, die zur Durchfiihrung 
5 einer Transaktion mit Hilfe des Endgerates 11 benotigt werden. Solche In- 
formationen kSnnen beispielsweise eine Kontonummer zur Durchfiihrung 
einer Banktransaktion, ein Wertspeicherinhalt zur Durchfiihrung eines Be- 
zahlvorganges, der Name einer Versicherung zur Vorbereitung einer Kran- 
kenbehandlungsabrechnung oder ein Summenspeicherinhalt zur Auf zeich- 

10 nung von Bonusinformationen sein. Der Mikrocomputer 81 des tragbaren 
Datentragers 80 kann dariiber hinaus Daten zur Herstellung einer Endgera- 
tefunktionalitat enthalten. Weiterhin kann er betriebsnotwendige Bestandtei- 
le des endgerateseitigen Prozessors 12, der endgerateseitigen Speichereinheit 
20 oder der Sicherheitsbox 17 enthalten, so dag ein Betrieb des Endgerates 11 

15 nur in Einheit mit dem tragbaren Datentrager 80 moglich ist. Soweit sie als 
Bestandteil des Datentragers 80 ausgefiihrt sind, kann endgerateseitig ent~ 
sprechend auf den Prozessor 12, die Speichereinrichtung 20 und/oder die 
Sicherheitsbox 17 ganz oder teilweise verzichtet werden. Auch andere End- 
geratekomponenten 13, 14 konnen entsprechend teilweise oder ganz auf 

20 dem Datentrager 80 realisiert sein; Auswahl und Art der Verteilung sind da- 
bei nach Zweckmafiigkeitsgesichtspunkten grundsatzlich frei gestaltbar. 

Der oder die Knotenrechner 40, 41 bilden fiir die Endgerate 10, 11 Server, 
welche die iiber die angeschlossenen Endgerate 10, 11 ausgelosten Transak- 
25 tionen in Wechselwirkung mit den Endgeraten 10, 11 ausfiihren und dabei 
iiber das Hintergrundnetz 50 Verbindungen zwischen Endgeraten 10, 11 und 
Zentraleinheiten 60, 61 herstellen. Zur Durchfuhrung dieser Funktionen sind 
die Knotenrechner 40, 41 mit entsprechend leistungsf ahigen Prozessoreinhei- 
ten 44 sowie grofien Speichereinrichtungen 45 ausgestattet. Uber eine kon- 
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taktlose oder kontaktbehaftete erste SchnittsteUe 42 ist die Prozessoreinheit 

44 mit dem Endgeratenetz 30 verbunden, iiber eine kontaktlose oder kon- 
taktbehaftete zweite SchnittsteUe 43 mit dem Hintergrundnetz 50. Zur Siche- 
rung sowohl des Datenverkehrs zu den Endgerates 10, 11 wie des Datenver- 
kehrs zum Hintergrundnetz 50 hin verfiigt der Knotenrechner 41 iiber eine 
Cipherbox 46. Sie verwaltet und verarbeitet Informationen zur Ver- bzw. 
Entschltisselung des mit dem jeweiligen Endgerat 10, 11 bzw. der jeweiligen 
Zentraleinheit 60, 61 erfolgenden Datenaustausches. Ver- und Entschliisse- 
lung basieren dabei auf an sich bekannten Mechanismen. 

Eine wichtige Funktion des Knotenrechners 41 bildet die Herstellung der zur 
Durchfiihrung einer Transaktion benotigten Endgeratefunktionalitat nach 
Auslosen der Transaktion an einem Endgerat 10, 11. In der Speichereinheit 

45 befinden sich deshalb in der Regel eine Vielzahl von Daten zur Herstel- 
lung von auf den angeschlossenen Endgeraten 10, 11 moglichen Funktionali- 
taten. 

Die Zentraleinheiten 60, 61 haben typischerweise die Gestalt iiblicher Re- 
chenzentren, wie sie bei Netzbetreibern, Banken, Kreditkarteninstituten, La- 
20 dezentralen, Autorisierungszentralen, Servicezentralen und dergleichen zu 
finden sind. Da Zentraleinheiten 60, 61 in diesem Sinne hinlanglich bekannt 
sind und sie fur das erfindungsgemafie System nur in ihren bekannten 
Funktionen genutzt werden, wird auf ihren Aufbau hier nicht naher einge- 
gangen. 

25 

Eine charakteristische Eigenschaft des in Figur 1 dargestellten Transaktions- 
systems ist, dafi den Endgeraten 10, 11 ihre jeweilige Funktionalitat nicht fest 
zugeordnet ist, sondem durch Software f estgelegt wird, die sie von den Kno- 
tenrechnern 41 erhalten. Die Festlegung kann dabei dauerhaft oder situati- 



10 
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onsabhangig wechselnd erfolgen. Vorteilhaft konnen wesentliche Teile einer 
Funktionalitat in die Knotenrechner 40, 41 verlagert sein. Figur 2 veran- 
schaulicht diese Eigenschaf t anhand der Schrittf olge bei der Durchfiihrung 
einer Transaktion. 

5 

Ein Benutzer lost zunachst iiber die Bedienvorrichtung 13 eine Transaktion 
aus, Schritt 100. Auf das Auslosesignal hin priift der Endgerateprozessor 12 , 
ob in der Speichereinheit 20 die Daten zur Herstellung der fur die beabsich- 
tigten Transaktion benotigten Funktionalitat zur Verfugung stehen. 1st das 

10 der Fall, fiihrt der Prozessor 12 die mit den vorhandenen Daten moglichen 
ersten Transaktionsschritte unmittelbar aus, Schritt 102. Beispielsweise ver- 
anlafit der Prozessor 12 bei einer mittels einer Chipkarte 80 durchzufiihren- 
den Transaktion die dann als Leseeinheit ausgebildete Nutzerdatenschnitt- 
stelle 15 zum Auslesen der Kartendaten aus dem Speicher des Kartenrnikro- 

15 computers 81 sowie den Benutzer zur Eingabe weiterer Steuersignale iiber 
die Bedienvorrichtung 13, etwa einer Benutzeridentifizierungsinformation. 
Weiterhin erzeugt der Prozessor 12 eine Startsequenz, Schritt 106, die angibt, 
welche Transaktion ausgelost wurde, und die eine Information enthalt, die 
das jeweilige Endgerat 10, 11 identifiziert. 

20 

Ergibt die Prufung in Schritt 102, dafi die Daten zur Herstellung einer zur 
Durchfiihrung einer Transaktion benotigten Funktionalitat in der Spei- 
chereinheit 20 nicht vorhanden sind, bildet der Prozessor 12 nur die Startse- 
quenz. Die Startsequenz, und, sofern vorhanden, die aufgrund erster ausge- 
25 fiihrter Transaktionsschritte vorliegenden Daten verschliisselt der Prozessor 
12 mit Hilf e der in der Sicherheitsbox 17 enthaltenen Sicherungsinformatio- 
nen und sendet sie iiber das Endgeratenetz 30 an den zugehorigen Knoten- 
rechner 41. 
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Dessen Prozessoreinheit 44 empfangt die Daten liber die Schnittstelle 42 und 
entschltisselt sie mit Hilf e der in der Cipherbox 46 enthaltenen Entschliisse- 
lungsinformationen. Die entschltisselten Daten priift die Prozessoreinheit 44 
sodann darauf, ob sie nur aus einer Startsequenz bestehen oder bereits die 
5 Ergebnisdaten erster Transaktionsschritte beinhalten, Schritt 110. In ersterem 
Fall ermittelt die Prozessoreinheit 44 aus der Startsequenz die zur Durchfiih- 
rung der ausgelosten Transaktion benotigte Endgeratefunktionalitat und 
priift, ob die dazugehorenden Daten in der Speichereinheit 45 des Knoten- 
rechners 41 vorhanden sind. 1st das nicht der Fall, fordert die Prozessorein- 
10 heit 44 sie iiber das Hintergrundnetz 50 von einer Zentraleinheit 60, 61 an. 
Sind die erforderlichen Daten vorhanden, stellt die Prozessoreinheit 44 sie 
zur Ubermittlung an das Endgerat 11 bereit, Schritt 116. 

Ergibt die Priifung im Schritt 110, dafi die vom Endgerat 10, 11 erhaltenen 
15 ersten Daten bereits Ergebnisse erster ausgefiihrter Transaktionsschritte be- 
inhalten, bearbeitet die Prozessoreinheit 44 diese und erzeugt erste Ant- 
wortdaten. Dabei fiihrt sie in der Regel iiber das Hintergrundnetz 50 einen 
Datenaustausch mit den Zentraleinheiten 60, 61. 

20 Im AnschluC an die Bearbeitung der Erstdaten priift die Prozessoreinheit 44, 
ob dem Endgerat 11 fur die Ausfiihrung der nachsten Transaktionsschritte 
weitere Daten zur Herstellung der benotigten Funktionalitat zuzuftihren 
sind, Schritt 114. Bejahendenfalls fahrt sie mit der Durchfiihrung des Schrit- 
tes 116 fort und priift, ob die noch benotigten Daten in der Speichereinheit 45 

25 vorhanden sind. Stellt sie dabei fest, dafi benotigte Daten in der Speicherein- 
heit 45 nicht vorhanden sind, fordert sie sie iiber das Hintergrundnetz 50 
von der entsprechenden Zentraleinheit 60, 61 an. Die Daten, sofern solche 
benotigt werden, sowie die ersten Antwortdaten sendet der Knotenrechner 
40, 41 sodann iiber das Endgeratenetz 30 an das Endgerat 11. 



WO 01/04771 




PCT/EP00/06577 



Handelt es sich bei den vom Knotenrechner 41 zuruckgesandten Antwortda- 
ten ausschliefilich urn Daten zur Herstellung einer Funktionalitat, d.h. waren 
die erforderlichen Daten beim Auslosen der Transaktion in der Speicherein- 
5 heit 20 des Endgerates 11 nicht vorhanden, tibernimmt der Endgerateprozes- 
sor 12 die Daten in die Speichereinheit 20. Anschliefiend veranlafit er die 
Ausfiihrung der ersten Transaktionsschritte. Die daraus resultierenden 
Erstdaten sendet er zuriick an den Knotenrechner 41, welcher darauf die 
Schrittfolge 102 fortfoigend ausfiihrt. 

10 

Beinhalten die vom Knotenrechner 41 an ein Endgerat 11 zuruckgesandten 
Daten weiterfxihrende Antwortdaten, veranlafit der Endgerateprozessor 12 
die Ausfiihrung der nachsten Transaktionsschritte. Wurden dabei mit den 
weiterfiihrenden Antwortdaten weitere Daten zur Herstellung der zur 
15 Durchfuhrung der Transaktion benotigten Funktionaltitat ubermittelt, 

ubemimmt er diese in die Speichereinheit 20 und verwendet sie unmittelbar 
zur Ausfiihrung der nachsten Transaktionsschritte. 

Die Daten zur Herstellung der Funktionalitat zur Durchfuhrung der Trans- 
20 aktion konnen nach AbschluC der Transaktion in der Speichereinheit erhal- 
ten bleiben. Bei der nachsten Ausfiihrung der Transaktion fiihrt der Endge- 
rateprozessor 12 dann die ersten Transaktionschritte nach dem Auslosen 
einer Transaktion unmittelbar durch, ohne vorher die Daten zur Herstellung 
der benotigten Funktionalitat vom Knotenrechner 41 anzufordern. Das End* 
25 gerat 11 kann die aufgrund einer Funktionalitat moglichen Transaktionen 
jederzeit ohne Notwendigkeit zur Anf orderung von Daten von einem Kno- 
tenrechner 40, 41 erneut ausfiihren. 
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Vorgesehen sein kann andererseits, dafi die Daten zur Herstellung der 
Funktionalitat fur eine Transaktion nach Abschlufi der Transaktion jeweils 
wieder geldscht werden. Der Endgerateprozessor 12 ladt dann bei jeder 
Transaktionsausfuhrung die zur Herstellung der benotigten Funktionalitat 
5 notwendigen Daten jeweils neu. Die Speichereinrichtung 20 kann in diesem 
Fall neben dem Bereich 23 zur Speicherung der Urprogrammdaten nur aus 
einem fliichtigen Speicherbereich 21 bestehen. 

Die Ubertragung von zur Herstellung der Funktionalitat fur eine bestimmte 

10 Transaktion benotigten Daten mufi nicht zwingend durch Auslosen der 
Transaktion selbst ausgelost werden. Sie kann vielmehr auch unabhangig 
vom tatsachlichen Auslosen einer bestimmten Transaktion erfolgen. Auslo- 
ser konnen beliebige, definierte Ereignisse sein. Beispielsweise kann vorge- 
sehen sein, beim erstmaligen AnschluiS eines Endgerates an ein Netz die Da- 

15 ten fur die wichtigsten oder die am haufigsten ausgeftihrten Transaktionen 
in das Endgerat zu tibertragen. In einer Variante hierzu werden Daten fur 
die wichtigsten oder die am haufigsten ausgefiihrten Transaktionen geladen, 
wenn erstmals eine beliebige der wichtigsten oder haufigsten Transaktionen 
ausgelost wird. Ein weiteres mogliches Ausloseereignis ist die regelmafiig 

20 oder auf Anf orderung vorgenommene Durchfiihrung von Service- oder 

Wartungsmafinahmen an den Endgeraten. In alien Fallen kann eine einmal 
ausgeloste Dateniibertragung zur regelmafiigen Aktualisierung von in einem 
Endgerat bereits eingerichteten Funktionalitaten genutzt werden; im Spei- 
cher des Endgerates werden dabei iiberholte Versionen mit aktuellen iiber- 

25 schrieben. 

Fig. 4 veranschaulicht einen moglichen Ablauf einer nicht unmittelbar trans- 
aktionsgebtmdenen Dateniibertragung vom Knotenrechner zum Endgerat. 
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Der Ablauf wird durch Eintritt eines vorbestimmten Ereignisses eingeleitet, 
Schritt 101, etwa durch Erreichen eines Servicezeitpunktes. 

Das Endgerat 11 bildet darauf wieder eine Startsequenz, Schritt 106, die an- 
5 gibt, welche Transaktion ausgelost wurde, und die eine Information enthalt, 
die das jeweilige Endgerat 11 identifiziert.und sendet sie an den zugehorigen 
Knotenrechner. 

Der Knotenrechner 41 priift, ob die Startsequenz unmittelbar eindeutig zu 
10 iibertragende Daten festlegt, Schritt 111. 

1st das nicht der Fall, erzeugt der Knotenrechner eine Anfrage zur Feststel- 
lung der dem Endgerat zu ubertragenden Daten und sendet diese an das 
Endgerat, Schritt 113. 

15 

Das Endgerat fuhrt die Anfrage aus und benennt dem Knotenrechner in ei- 
ner entsprechenden Riickmeldung die gewiinschten Daten, Schritt 115. 

Der Knotenrechner 41 priift darauf, ob die benotigten Daten in der Spei- 
20 chereinheit 45 vorhanden sind. Stellt er dabei fest, dafi benotigte Daten in 
seiner Speichereinheit 45 nicht vorhanden sind, f ordert er sie iiber das Hin- 
tergrundnetz 50 von der entsprechenden Zentraleinheit 61 an. Die Daten 
sendet er sodann iiber das Endgeratenetz 30 an das Endgerat 1, Schritt 119. 

25 Folgen die Informationen iiber die zu ubertragenden Daten direkt aus der 
Startsequenz bei deren Priifung in Schritt 111, fiihrt der Knotenrechner un- 
mittelbar Schritt 119 aus. 
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Vorgesehen sein kann ferner, die Endgerate bereits im Neuzustand mit einer 
Auswahl von Funktionalitaten auszurtisten. Die Auswahl kann zweckmafiig 
die wichtigsten oder die am haufigsten benutzten Funktionalitaten umfas- 
sen. Sofern insbesondere die Speicherkapazitat das zulafit, konnen auch alle 
5 moglichen Funktionalitaten auf einem Endgerat eingerichtet sein. 

Figur 5 veranschaulicht einen moglichen Datenaustausch zwischen einem 
Knotenrechner 41 und einem als Zahlungsverkehrterminal eingesetzten 
Endgerat 11. Bei dem dargestellten Datenaustausch sind wesentliche Teile 
der Funktionalitat im Knotenrechner 41 realisiert. Es sei angenommen, daG 
die Daten zur Herstellung der Funktionalitat "Zahlungsverkehr" bereits in 
der Speichereinheit 20 des Endgerates 11 vorhanden sind und dafi die mittels 
des Endgerates 11 ausfiihrbaren Transaktionen die Verwendung einer Chip- 
karte 80 voraussetzen. Bei der Transaktion handele es sich um einen Zah- 
lungsvorgang, der die Umbuchimg eines Geldbetrages von einem zu der 
Chipkarte 80 korrespondierenden Konto bei einer ersten Bank mit der Zen- 
traleinheit 61 auf ein Konto bei einer zweiten Bank mit der Zentraleinheit 61 
nach sich ziehe. Bei dem Endgerat 11 handele es sich um um ein bei einem 
Handler installiertes Terminal, zu dem im zugeordneten Knotenrechner 41 
eine virtuelle Handlerkarte, d.h. ein in Programmform realisierter Datentra- 
ger nach Art einer Chipkarte angelegt sei. 

Das Auslosen der Zahlungstransaktion erf olgt durch Einbringen der Chip- 
karte 80 in die als Leseeinrichtung ausgefiihrte Nutzerdatenschnittstelle 15. 
25 Erkennt das Endgerat 11, dafi eine Transaktion durchgefuhrt werden soil, 
erfolgt zweckmafiig zunachst in bekannter Weise eine Priifung der Berechti- 
gung des Benutzers zur Verwendimg der Karte 80, etwa durch Priifen einer 
PIN. Fallt diese Priifung positiv aus, liest das Endgerat 11 aus dem Speicher 
83 der Chipkarte allgemeine Kartendaten aus, etwa eine Kartennummer 



10 
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20 
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und/oder eine Bankverbindung. Ermoglicht die Karte mehrere verschiedene 
Transaktionen, ist sie etwa wahlweise als Geldborse oder als Debit- oder 
Kreditkarte betreibbar, veranlafit das Endgerat 11 den Benutzer durch An- 
zeige auf der Bildanzeigevorrichtung 14 zur Auswahl einer Transaktion, d.h. 
5 zur Auswahl einer Zahlungsart. Darauf veranlaCt es den Benutzer durch 
Anzeige auf der Bildanzeigevorrichtung 14 zur Eingabe eines Betrages, der 
umgebucht werden soil. Desweiteren stellt das Endgerat 11 Daten zur Ter- 
minalidentifikation sowie eine Datumsinf ormation bereit. Aus allgemeinen 
Kartendaten, Betrag, Terminalinformationsdaten sowie Datumsinformation 

10 bildet das Endgerat eine Startsequenz, Schritt 200, welche es an den Knoten- 
rechner 41 sendet. Das Senden der Startsequenz und der gesamte nachfol- 
gende Datenaustausch zwischen Endgerat 11 und Knotenrechner 41 erfolgen 
verschliisselt, wobei fur die Verschliisselung an sich bekannte Verf ahren ein- 
gesetzt werden. Ein erster Schlxissel ist zweckmafiig dem Endgerat 11 zuge- 

15 ordnet und wird im Rahmen der Startsequenz oder gegebenenfalls in einem 
vorgeschalteten Schritt auf grund der Endgerateidentif ikation gebildet. Er 
dient nachf olgend als tibergreif ender Transportschlussel, mit dem der ge- 
samte Datenaustausch zwischen Endgerat 11 und Knotenrechner 41 abgesi- 
chert wird. Ein weiterer Schliissel ist zweckmafiig der Chipkarte 80 zuge- 

20 ordnet und wird zur Bildung von Datensicherungscodes genutzt, um insbe- 
sondere die Unversehrtheit von Daten priifen zu konnen. 

Der Knotenrechner 41 ermittelt die zu der in der Startsequenz bezeichneten 
Bankverbindung korrespondierende Zentraleinheit 61, bei der das zu der 
25 Karte 80 gehorende Konto angelegt ist, Schritt 202. Mit der ermittelten Zen- 
traleinheit 61 beginnt er einen Datenaustausch. Darin wird beispielsweise 
zunacht gepriift, ob der beabsichtigte Zahlungvorgang uberhaupt zugelas- 
sen ist. Ist die beabsichtigte Transaktion danach grundsatzlich moglich, 
iibermittelt der Knotenrechner 41 dem Endgerat 11 Daten, welche das End- 
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gerat 11 zur Ausfiihrung der beabsichtigten Transaktion einrichten und ins- 
besondere Befehle umfassen, welche die Nutzerdatenschnittstelle 15 zur 
Ausfiihrung von weiteren Zugriff en auf die Chipkarte 80 veranlassen, Schritt 
204. Daneben enthalten die Daten Befehle, welche das Endgerat 11 veranlas- 
5 sen, mitzuteilen, wer der Empfanger bzw. der Geber einer Zahlung sein soil. 

Die erhaltenen Daten und Chipkartenbefehle fiihrt das Endgerat 11 aus, 
Schritt 206. 1st die Chipkarte 80 zur Ausfiihrung einer Abbuchung vorberei- 
tet, iibersendet das Endgerat 11 dem Knotenrechner 41 nach Verschliisselung 
10 eine Riickmeldung, Schritt 208, welche im zugrundegelegten Beispiel eine 
Information beinhaltet, dafi von der Karte eine Zahlung auf die dem Endge- 
rat zugehorige virtuelle Handlerkarte erfolgen soli. 

Der Knotenrechner 41 bestimmt aus der Riickmeldung, wem ein von der 
15 Karte 80 oder dem zugehorigen Konto ab- bzw. aufzubuchender Betrag gut- 
geschrieben bzw.belastet werden soil, im angenommenen Beispiel der vir- 
tuellen Handlerkarte. Anhand der in der Startsequenz zugesandten Termi- 
nalinformationsdaten liest der Knotenrechner 41 daher den Speicher der vir- 
tuellen Handlerkarte aus, und ermittelt die der Handlerkarte zugehorige 
20 Zentraleinheit 60. Mit dieser eroffnet er sodann einen Datenaustausch, 
Schritt 210, urn die virtuelle Handlerkarte zum Aufbuchen einzurichten. 

Sind Chipkarte 80 und Handlerkarte vorbereitet, sendet der Knotenrechner 
41 dem Endgerat 11 Buchungsbefehle, die endgerateseitig die Eintragung 
25 der Abbuchung im Speicher der Chipkarte 80 bewirken, Schritt 218. Parallel 
dazu vermerkt er im Speicher der virtuellen Handlerkarte die entsprechende 
Aufbuchung und veranlafit in einem Datenaustausch iiber das Hintergrund- 
netz 50 die Ausfiihrung der Buchung zwischen den beteiligten Zentraleinhei- 
ten 60, 61. 
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Das Endgerat 11 nimmt die Eintragung der Abbuchung auf der Chipkarte 
vor, Schritt 220, und quittiert den AbschluiS der Transaktion durch Riicksen- 
dung einer bestatigenden Riickmeldung an den Knotenrechner 41, Schritt 
5 222. 



1st der buchungtechnische Teil der Transaktion beendet, erzeugt der Knoten- 
rechner 41 Steuerdaten, welche das Endgerat 11 zur Darstellung einer Bele- 
ganzeige iiber die ausgefiihrte Transaktion, d.h. iiber den ausgefiihrten Bu- 
10 chungsvorgang auf der Bildanzeigevorrichtung 14 veranlassen, Schritt 224. 
1st dem Endgerat 11 eine Belegausgabe zugeordnet, etwa in Gestalt eines 
Druckers, erzeugt der Knotenrechner 41 zweckmafiig auch Steuerdaten zum 
Ausdruck eines Beleges. Die Steuerdaten sendet er an das Endgerat 11, das 
sie ohne weitere Verarbeitung zur Ausfiihrung bringt, Schritt 226. 

15 

Fig. 6 veranschaulicht als weitere mogliche Nutzung des in Fig. 2 dargestell- 
ten Transaktionssystems eine Variante, in der das Endgerat 11 zur Ausgabe 
elektronischer Fahrscheine genutzt wird. Es wird angenommen, dafi der 
elektronische Fahrschein die Gestalt eines Datensatzes hat, welcher in den 
20 Speicher einer Chipkarte 80 eingebracht wird. Das Endgerat 11 besitzt ent- 
sprechend eine Nutzerdatenschnittstelle 15 in Gestalt einer Chipkartenkon- 
taktiereinheit. 



Das Auslosen einer Fahrscheinausgabetransaktion erfolgt, indem der Kunde 
25 dem Endgerat 11 die Chipkarte 80 prasentiert und/oder z.B. iiber die Be- 
dienvorrichtung 13 mitteilt, dafi er die Transaktion „ elektronischer Fahr- 
schein" ausfiihren will, Schritt 300, um einen elektronischen Fahrschein zu 
erwerben. Erkennt das Endgerat 11 hierauf, dafi eine Fahrscheinausgabe- 
transaktion durchgefiihrt werden soil, kann zunachst eine Priifung der Be- 
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rechtigung des Kunden zur Verwendung der Chipkarte 80 fur die vorgese- 
hene Transaktion vorgesehen sein, etwa in bekannter Weise durch Priif en 
einer PIN. 

5 Steht fest, daI2 die Transaktion „elektronischer Fahrschein" ausgefiihrt wer- 
den soil und dafi der Kunde zur Durchfuhrung der Transaktion berechtigt 
ist, ermittelt das Endgerat 11 die Kartennummer der Chipkarte 80 und prtift, 
ob es zur weiteren Ausfiihrung einer Transaktion „elektronischer Fahr- 
schein" eingerichtet ist, Schritt 302. Ist das nicht der Fall, stellt es ferner fest, 
10 ob ausreichend Freispeicherraum zur Einrichtung der Funktionalitat verfiig- 
bar ist. 

Nachfolgend erzeugt das Endgerat 11 eine Startsequenz 306, welche die Kar- 
tennummer sowie eine Endgerateidentif ikation beinhaltet. Ist die zur Durch- 
15 fiihrung der Transaktion „elektronischer Fahrschein" benotigte Funktionali- 
tat in der Speichereinheit 20 des Endgerates 11 nicht vorhanden, beinhaltet 
die Startsequenz 306 weiterhin eine Information, welche anzeigt, dalS das 
Endgerat 11 die, im folgenden Applikation genannten Daten zur Einrichtung 
der Funktionalitat benotigt. 

20 

Die Startsequenz 306 wird mittels eines dem Endgerat 11 zugeordneten, 
iibergreif enden Transportschliissels verschliisselt, welcher unter Verwen- 
dung der Endgerateidentif ikation im Rahmen der Startsequenz oder in ei- 
nem vorgeschalteten, gesonderten Datenaustausch nach einem iiblichen Ver- 
25 fahren generiert wird. Mit dem Transportschlussel wird der gesamte nach- 
folgende Datenaustausch zwischen Endgerat 11 und Knotenrechner 41 ab- 
gesichert. Erzeugung und Nutzimg des Schlussels beruhen dabei in an sich 
bekannter Weise darauf, dafi die Kommunikationsteilnehmer unabhangig 
voneinander jeweils ein Geheimnis kennen, das nicht iiber das Endgera- 
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tenetz 30 zwischen Endgerat 11 und Knotenrechner 41 ausgetauscht werden 
kann. Das Geheimnis ist auf der einen Seite im Endgerat 11, vorzugsweise in 
der Sicherheitsbox 17, fest abgelegt und wird auf der anderen Seite im Kno- 
tenrechner 41 oder iiber das Hintergrundnetz 50 durch die Zentraleinheiten 
5 60, 61 verwaltet. Ist ein zur Generierung eines Schlussels notwendiges Ge- 
heimnis in einem Knotenrechner 41 nicht verfiigbar, beschaff t dieser es sich 
von der verwaltenden Zentraleinheit 60, 61. 

Die verschlusselte Startsequenz 306 iibersendet das Endgerat 11 an den zu- 
10 geordneten Knotenrechner 41. Dessen Prozessoreinheit 44 priift nach Erhalt - 
und Entschliisselung - der Startsequenz 306, ob die Applikation 
„elektronischer Fahrschein" in der Speichereinheit 45 des Knotenrechners 41 
vorhanden ist, Schritt 308. Ist das nicht der Fall ermittelt der Knotenrechner 
41, etwa mit Hilfe der Endgerateinformation, eine Zentraleinheit 60, 61, wel- 
15 che iiber die die Applikation resalisierenden Daten verfugt und fordert iiber 
das Hintergrundnetz 50 von ihr die Daten an. Liegen Applikationsdaten be- 
reit, Schritt 310, libermittelt der Knotenrechner 41 sie an das Endgerat 11. 

Dessen Prozessor 12 ubernimmt die Applikationsdaten in die Speicherein- 
20 heit 20 und fiihrt die eingerichtete Funktionalitat aus, Schritt 312. Das End- 
gerat 11 fordert den Kunden hierbei iiber die Bildanzeigevorrichtung 14 auf, 
einen Fahrschein auszuwahlen. Die Auswahl erfolgt benutzergefiihrt im 
Dialog. Der Kunde macht dabei mittels der Bedienvorrichtung 13 jeweils 
gemafi einer Aufforderung durch die Bildanzeigevorrichtung 14 Angaben, 
25 die zur Ermittlung des benotigten Fahrscheines erforderlich sind, etwa Start- 
und Zielort, Fahrzeitpunkt, Anzahl der Personen, Reiseklasse usw., Schritt 
314. Sind in das Endgerat 11 alle zur Ermittlung eines Fahrscheines notwen- 
digen Angaben eingegeben worden, iibermittelt das Endgerat 11 die Aus- 
wahldaten an den Knotenrechner 41. 
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Aus den vom Endgerat 11 erhaltenen Angaben zur Fahrscheinauswahl er- 
mittelt der Knotenrechner 41 einen den elektronischen Fahrschein reprasen- 
tierenden Datensatz, Schritt 316. Zweckmafiig ist der Knotenrechner 41 dabei 
5 dazu eingerichtet, einfache und besonders haufig angef orderte Fahrschein- 
ermittlungen, etwa die Ermittlung eines Fahrscheines des lokalen Verkehrs- 
betriebes, unmittelbar durch die Prozessoreinheit 44 des Knotenrechners 41 
vorzunehmen. In vielen Fallen bedingt die Ermittlung eines Fahrscheines 
allerdings komplexe Programmablauf e, die iiblicherweise die Einschaltung 
10 einer Zentraleinheit 60, 61 uber das Hintergrundnetz 50 erfordern. Der re- 
sultierende Fahrscheindatensatz beinhaltet neben den fiir die Ermittlung 
verwendeten Informationen ggf . die moglichen Fahrscheinalternativen so- 
wie insbesondere den oder die Fahrpreise. 

15 Sodann generiert der Knotenrechner 41 aus der Kartennummer sowie einem 
Geheimnis, das auch in der Chipkarte 80 fest abgelegt ist, einen chipkarten- 
spezifischen Schliissel, welcher nachf olgend zur Bildung eines Datensiche- 
rungscodes dient, Schritt 318. 

20 Hat der Knotenrechner 41 einen chipkartenspezif ischen Schliissel erzeugt, 
bildet er damit zu dem resultierenden Fahrscheindatensatz einen Datensi- 
cherungscode, etwa einen MAC (Message Authentication Code) und ver- 
schliisselt den resultierenden, aus Fahrscheindatensatz und Datensicherung- 
scode bestehenden Fahrscheindatenblock mit Hilf e des Transportschlussels, 

25 Schritt 320. Den resultierenden verschlusseltem Fahrscheindatenblock 
tibermittelt der Knotenrechner 41 an das Endgerat 11. 

Den angekommenen Fahrscheindatenblock entschltisselt das Endgerat 11 
mit Hilfe des Transportschliissels, den es, z. B. in der Sicherheitsbox 17, auf 
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gleiche Weise wie der Knotenrechner 41 generiert. Dabei fiihrt das Endgerat 
11 zugleich eine Vorpriifung der Unversehrtheit des Fahrscheindatensatzes 
durch, indem es z.B. prxift, ob der entschliisselte Fahrscheindatensatz an de- 
finierten Posititonen bestimmte Werte aufweist. Den entschliisselten Fahr- 
5 scheindatensatz leitet das Endgerat 11 an die Chipkarte 80 weiter, welche 
durch Uberpriifung des Datensicherungscodes mittels des auf der Chipkarte 
80 vorhandenen chipkartenspezifischen Schliissels seine Unversehrtheit kon- 
trolliert. 

10 Erweist sich der Fahrscheindatensatz danach als unversehrt, fordert das 
Endgerat 11 den Kunden durch entsprechende Darstellung auf der Bildan- 
zeigeeinheit 14 dazu auf, den elektronischen Fahrschein auf Richtigkeit zu 
priif en und den Kauf zu bestatigen, Schritt 322. Beinhaltet der Fahrscheinda- 
tensatz mehrere mogliche elektronische Fahrscheinalternativen, fordert das 

15 Endgerat 11 den Kunden dabei auf, eine Auswahl aus den angebotenen Al- 
ternativen zu treffen. In einfachen, alternativlosen Fallen, beispielsweise bei 
Kauf eines Fahrscheins fur einen lokalen Verkehrsbetrieb, sind Auswahl und 
Kaufbestatigung durch den Kunden nicht erf orderlich. 

20 1st der an das Endgerat 11 ubersandte elektronische Fahrschein danach 

durch den Kunden akzeptiert, wird der bestatigte, den ausgewahlten Fahr- 
schein ausmachende Teil des Fahrscheindatensatzes zunachst in der Spei- 
chereinrichtung 20 des Endgerates 11 zwischengespeichert, Schritt 324. Des- 
weiteren veranlafit das Endgerat 11 die Bezahlung des elektronischen Fahr- 

25 scheins, Schritt 326. Der Bezahlvorgang kann durch Barzahlung oder etwa, 
wie in Zusammenhang mit Fig. 5 beschrieben, durch Einziehung von auf der 
Chipkarte 80 gespeicherten elektronischen Geld erfolgen. 
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1st der Bezahlvorgang abgeschlossen, erzeugt der Knotenrechner 41 ein 
Quittungssignal, Schritt 328, welches er an den Knotenrechner 41 ubermit- 
telt. 

5 Nach Erhalt des Quittungssignales erzeugt der Knotenrechner 41 einen Steu- 
erbefehl, welcher den Prozessor 12 des Endgerates 11 veranlafit, den in der 
Speichereinrichtung 20 abgelegten Fahrscheindatensatz auf die Chipkarte 80 
zu iibertragen. 

10 Das Endgerat 11 nimmt die Ubertragung des elektronischen Fahrscheines 
auf die Chipkarte vor, Schritt 330, und quittiert den Abschlufi der Transakti- 
on durch Rticksendung einer bestatigenden Riickmeldung an den Knoten- 
rechner 41, Schritt 332. An den Eingang dieser Riickmeldung im Knoten- 
rechner 41 kann sich beispielsweise die Ausgabe eines Beleges, etwa durch 

15 einen dem Endgerat 11 zugeschalteten Drucker anschliefien. 

Fig. 7 veranschaulicht als weitere mogliche Nutzung des in Fig. 2 dargestell- 
ten Transaktionssystems eine Variante, in der ein Endgerat in einem Kran- 
kenversicherungskartensystem eingesetzt ist. Es wird angenommen, dafi die 

20 Krankenversicherungskarte wiederum die Gestalt einer Chipkarte 80 auf- 
weist und die Funktionalitat zur Handhabung von Krankenversicherungs- 
karten in der Speichereinheit 20 des Endgerates 11 bereits vorhanden ist. Das 
Endgerat 11 befindet sich beispielsweise in einer Arztpraxis, einem Kran- 
kenhaus oder einer Institution zur Abrechnung medizinischer Leistungen, 

25 etwa einer Krankenversicherung. Dem medizinischen Personal sind dabei in 
Bezug auf die Krankenversicherungskarte 80 andere Zugriffsrechte einge- 
raumt als den Angehorigen der Krankenversicherung. 
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Eine Transaktion unter Verwendung einer, nachf olgend einfach als Karte 
bezeichneten Krankenversicherungskarte 80 wird eingeleitet, indem die Kar- 
te 80 der Nutzerdatenschnittstelle 15 des Endgerates 11 prasentiert wird, 
Schritt 400. Das Endgerat 11 betatigt darauf iiber die Bildanzeigeeinheit 14, 
5 dali eine Transaktion unter Verwendung einer Krankenversicherungskarte 
angef ordert wurde und f ordert - im Normalbetrieb - den Bediener auf anzu- 
geben, ob er auf die Karte 80 nur lesend oder schreibend und lesend zugrei- 
fen mochte, Schritt 402. Weiter f ordert es den Bediener auf, Schritt 404, an- 
zugeben, auf welche auf der Karte 80 abgelegten Daten er zugreifen mochte. 

10 Die in der Speichereinrichtung der Karte 80 gehaltenen Daten sind zweck- 
mafiig nach ihrer sachlichen Natur, z.B. abrechnungstechnisch oder medizi- 
nisch gegliedert, wobei diese Gliederung weiter z.B. nach Art des medizini- 
schen Fachgebietes feinunterteilt ist. Die Gliederungsbereiche sind einzeln 
oder in Gruppen durch gebietsbezogene Zu griff sschlussel gegen Lese- und 

15 Schreibzugriffe geschtitzt. Die Zugriffsschliissel leiten sich vorzugsweise aus 
dem kartenspezif ischen Schliissel sowie einer den Bediener, etwa einen Arzt, 
oder den Gliederungsbereich, etwa ein medizinisches Fachgebiet, charakte- 
risierenden Information ab. 

20 Steht f est, welche Art Zugrif f auf welchen Bereich der Karte 80 der Bediener 
wunscht, fordert das Endgerat 11 den Bediener iiber die Bildanzeigeeinheit 
14 auf, sich zu identifizieren, Schritt 406. Dies kann beispielsweise mittels der 
Bedienvorrichtung 13 durch Eingabe eines Codes zur Identifizierung eines 
Arztes, eines Krankenhauses oder einer Krankenversicherung erf olgen. 

25 Desweiteren ermittelt das Endgerat 11 die Kartennummer der Karte 80. 

Aus den Angaben iiber gewiinschte Zugriff sart, Kartenbereich, auf den zu- 
gegriffen werden soil, Identif ikationscode, Nummer der prasentierten Karte 
80 sowie aus der Endgerateidentifikation bildet das Endgerat 11 eine Startse- 
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quenz, Schritt 408, welche sie an den zugeordneten Knotenrechner 41 iiber- 
mittelt. Die Ubermittlung erfolgt verschliisselt unter Verwendung eines 
Transportschltissels, welcher unter Verwendung der Endgerateidentifikation 
gegebenenfalls in einem vorgeschalteten Datenaustauschschritt generiert 
5 und mit dem der gesamte nachfolgende Datenaustausch zwischen Endgerat 
11 und Knotenrechner 41 abgesichert wird. 

Nach Eingang der Startsequenz 408 im Knotenrechner 41 bildet dieser mit 
Hilfe der Kartennummer sowie eines der Karte 80 zugeordneten Geheimnis- 
10 ses einen kartenspezifischen Schliissel. 1st das Geheimnis dabei nicht im 

Knotenrechner 41 selbst verfiigbar, ermittelt er es iiber das Hintergrundnetz 
50 von der verwaltendendem Zentraleinheit 60, 61. 

Sodann prtift der Knotenrechner 41, ob sich die zur Bewertung der Startse- 
15 quenz 408 notwendigen Informationen im Speicher 45 befinden. 1st das nicht 
der Fall, ermittelt er eine zur Bewertung der Startsequenz geeignete Zen- 
traleinheit 60 und leitet mit dieser iiber das Hintergrundnetz 15 einen Daten- 
austausch ein, Schritt 412. Im Rahmen des folgenden Datenaustausches priif t 
der Knotenrechner 41 unter Verwendung des mit der Startsequenz 408 iibe- 
20 tragenen Bedieneridentifikationscodes, ob der vom Bediener gewiinschte 

Zugriff auf die Karte 80 zulassig ist. 1st das der Fall, werden im Knotenrech- 
ner 41 Einrichtungsdaten bereitgestellt, welche das Endgerat 11 befahigen, 
den gewiinschten Zugriff auf die Karte 80 durchzufuhren, Schritt 414. Vor- 
zugsweise beinhalten die Einrichtungsdaten hierfur einen oder mehrere je- 
25 weils einzelnen Bereichen der Karte 80 zugeordnete Zugriffsschliissel. 

Zu den Einrichtungsdaten bildet der Knotenrechner 41 sodann mittels des 
kartenspezifischen Schlussels einen Datensicherungscode, Schritt 416. Der 
aus Einrichtungsdaten und Datensichenmgscode bestehende Datensatz wird 
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anschliefiend mit dem Transportschliissel verschliisselt und an das Endgerat 
11 iibersandt. 

Jenes entschlusselt den eingegangenen Datensatz mit Hilfe des Transport- 
5 schliissels und fiihrt dabei zugleich eine Vorprufung des Datensatzes auf 
Unversehrtheit durch, z.B. durch Prufen des Vorhandenseins bestimmter 
Datenwerte an definierten Positionen des Datensatzes. Fallt die Vorprufung 
positiv aus, iibermittelt das Endgerat 11 die Einrichtungsdaten an die Karte 
80. Diese kontrolliert die Einrichtungsdaten mit Hilfe des kartenspezifischen 
10 Schliissels durch Prufen der Richtigkeit des Datensicherungscode auf Unver- 
sehrtheit. Wird die Unversehrheit der Einrichtungsdaten f estgestellt, kann 
anschliefiend tiber das Endgerat 11 der gemafi den Einrichtungsdaten mogli- 
che Zugriff auf die Karte 80 durchgefuhrt werden. 

15 Neben den im Normalbetrieb durchfuhrbaren Zugriffen ist im Endgerat 11 
zweckmaiiig noch eine Zugriff sart fur Notf alle eingerichtet. Ausgelost wird 
eine Notfalltransaktion wie eine Transaktion im Normalbetrieb, jedoch iden- 
tif iziert sich der Bediener im Schritt 406 nicht durch eine personenindividuel- 
le Identifikation, sondern durch eine Notf allidentifikation. 

20 

Erkennt der Knotenrechner 41 bzw. eine Zentraleinheit 60, 61, nach Erzeu- 
gung eines Schliissels zur Bildung eines Datensicherungscodes sowie eines 
Transportschlussels, bei der Bewertung der Startsquenz 408 eine Notf alliden- 
tifikation, stellt er im Knotenrechner 41 anhand der Kartennummer einen 
25 Satz von Zugriffsschlusseln bereit, welcher zumindest einen Lesezugrif f auf 
alle auf der Krankenversicherungskarte 80 bef indlichen medizinischen Daten 
ermoglicht. Zur Beschleunigung der Transaktionsausfuhrung kann vorgese- 
hen sein, dafi auf eine zusatzliche Priifung der Berechtigung des Bedieners 
verzichtet wird. Den Zugriffsschliisseldatensatz versieht der Knotenrechner 
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mit einem Datensicherungscode, Schritt 416, verschliisselt beide mit dem 
Transportschliissel und iibermittelt den resultierenden Datensatz an das 
Endgerat 11. 

5 Dieses entschliisselt den eingegangenen Datensatz wieder mit dem Trans- 
portschliissel und leitet ihn der Karte 80 zur Prtifimg auf Unversehrtheit mit- 
tels des kartenspezifischen Schlussels weiter. Wird Unversehrtheit des 
ubermittelten Schliisseldatensatzes festgestellt, erlaubt das Endgerat 11 den 
Lesezugriff auf samtliche auf der Karte 80 vorhandenen medizinischen Da- 
10 ten. 

Unter Beibehaltung des grundlegenden Konzeptes, in einem Transaktionssy- 
stem die Funktionalitat der nutzerseitigen Endgerate durch vorgeschaltete 
Knotenrechner zu bestimmen, lassen sich das vorgeschlagene System, die zu 

15 seiner Realisierung eingesetzten Komponenten sowie das Betriebsverfahren 
in weitem Rahmen variieren. Dies gilt etwa fiir die physikalische Struktur 
der Endgerate 10, 11. Deren Komponenten konnen zusammengefafit sein, 
indem Speichereinheit 20, Prozessor 12, Kryptobox 17 und Bedienvorrich- 
tung 13 beispielsweise eine Einheit bilden. An ein Endgeratenetz 30 konnen 

20 mehrere Knotenrechner 40, 41 angeschlossen sein, welche zur Ausfuhrung 
unterschiedlicher Transaktionen dienen. Die moglichen Nutzungen des Sy- 
stems sind selbstverstandlich nicht auf die beschriebenen Ausfiihmngsbei- 
spiele beschrankt. Neben der Art der Transaktionen kann dabei insbesonde- 
re auch die Verteilung der Funktionalitat auf Endgerate und Knotenrechner 

25 variiert werden. Dabei kann sich die in den Endgerate zugeordnete Funktio- 
nalitat einerseits auf das Durchreichen von Daten an einen Datentrager be- 
schranken, andererseits kann eine weitgehende Datenverarbeitung unmittel- 
bar durch ein Endgerat eingerichtet werden. Ohne Beeintrachtigung des 
gnmdlegenden Gesamtkonzeptes lafit sich f erner das Verschltisselimgskon- 
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zept mit Transportschliissel und datentragerbezogenem Schliissel in einem 
weiten Rahmen variieren, wobei eine Verschliisselung auf der einen Seite 
ganzlich entfallen, auf der anderen Seite zusatzliche Verschliisselungen vor- 
gesehen sein konnen. 



WO 01/04771 




PCT/EP00/06577 



-29- 



Patentanspriiche 

1. System zur Ausfiihrung von Transaktionen mit 

einer Mehrzahl von Endgeraten, welche zur Ausfiihrung einer Viel- 
5 zahl verschiedener Transaktionen geeignet sind, sowie 

einem Knotenrechner, der iiber ein Endgeratenetz mit den Endgeraten 
verbunden ist, 

wobei die Eignung eines Endgerates zur Ausfiihrung einer Transakti- 
on iiber einen Knotenrechner herstellbar ist, indem dieser dem Endge- 
10 rat Daten iibermittelt, welche dort die zur Ausfiihrung der Transakti- 

on benotigte Funktionalitat einrichten, 
dadurch gekennzeichnet, dal? 

zumindest ein Endgerat (10, 11) dazu ausgebildet ist, wahrend seiner iibli- 
chen Nutzung die Einrichtung zur Ausfiihrung einer weiteren Transaktion 
15 zu veranlassen, indem es auf ein im Zusammenhang mit der Ausfiihrung 

einer Transaktion erzeugtes Auslosesignal hin von einem Knotenrechner (40, 
41) Daten anfordert, welche die zur Ausfiihrung der weiteren Transaktion 
benotigte Funktionalitat herstellen. 

20 2. System nach Anspruch 1, dadurch gekennzeichnet, dafi die Ausfiihrung 
wenigstens einer Transaktion in Wechselwirkung zwischen einem Endgerat 
(10, 11) und einem Knotenrechner (41) erfolgt. 

3. System nach Anspruch 1, dadurch gekennzeichnet, dafi das Endgerat (10, 
25 11) die Ubermittlung der Daten zur Einrichtung der Funktionalitat zur Aus- 
fiihrung der Transaktion veranlafit. 
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4. System nach Anspruch 3, dadurch gekennzeichnet, dafi das Endgerat (10, 
11) eine Datenubermittlung auf den Eintritt eines vorbestimmten Ereignisses 
im Endgerat (10, 11) hin veranlafit. 

5 5. System nach Anspruch 3, dadurch gekennzeichnet, da£ das Endgerat (10, 
11) eine Datenubermittlung auf das Auslosen der bestimmten Transaktion 
im Endgerat (10, 11) hin veranlafit. 

6. System nach Anspruch 1, dadurch gekennzeichnet, daC der Knotenrech- 
10 ner (40, 41) iiber ein Hintergrundnetz (50) mit mindestens einer Zentralein- 

heit (60, 61) verbunden und diese in eine Transaktion einbeziehbar ist. 

7. System nach Anspruch 3, dadurch gekennzeichnet, dafi der Knotenrech- 
ner (40, 41) Daten von der Zentraleinheit (60, 61) abrufen kann. 

15 

8. System nach Anspruch 1, dadurch gekennzeichnet, dafi der Knotenrech- 
ner (40, 41) eine Cipherbox (17) besitzt, welche Inf ormationen zur Ver- bzw. 
Entschliisselung des mit dem Endgerat (10, 11) erfolgenden Datenverkehrs 
verarbeitet. 

20 

9. Endgerat zur Ausfuhrung einer Transaktion mit 

einer Prozessoreinheit (12), 

einer damit verbundenen Speicherinrichtung (20) zur Auf nahme von 

Daten, welche die Funktionalitat der Prozessoreinheit (12) einrichten, 
25 - Mitteln (13, 14, 15) zum Auslosen einer Transaktion, sowie 

einer Schnittstelle (18) zur Verbindung mit einem Knotenrechner (41) 

iiber ein Endgeratenetz (30), 
dadurch gekennzeichnet, dafi die Prozessoreinheit (12) im Zuge der iibli- 
chen Nutzung des Endgerates (10, 11) auf ein im Zusammenhang mit der 
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Ausfiihrung einer Transaktion erzeugtes Auslosesignal hin die Einrichtung 
des Endgerates (10, 11) zur Ausfiihrung einer weiteren Transaktion veran- 
lafit, indent es von einem Knotenrechner (40, 41) Daten anfordert, welche die 
zur Ausfiihrung der Transaktion benotigte Funktionalitat herstelien. 

5 

10. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi es die Daten 
zur Einrichtung einer Funktionalitat auf den Eintritt eines vorbestimmten 
Ereignisses hin vorn Knotenrechner (41) anfordert. 

10 11. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi das vorbe- 

stimmte Ereignis das Auslosen einer Transaktion ist, deren Ausfiihrung eine 
Funktionalitat erfordert, die nur unvollstandig oder gar nicht in der Spei- 
chereinheit (20) vorhanden ist. 

15 12. Endgerat nach Anspruch 9, dadurch gekennzeichnet, daC es eine Sicher- 
heitsbox (17) aufweist, welche Informationen zur Ver- bzw. Entschliisselung 
des mit dem Knotenrechner (40, 41) erfolgenden Datenverkehrs enthalt.. 

13. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi die Mittel zum 
20 Auslosen einer Transaktion eine Tastatur (13) und eine Display (14) umfas- 

sen. 

14. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi es eine Vor- 
richtung (15) zum Lesen von tragbaren Datentragern (80) aufweist. 

25 

15. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi es dem Kno- 
tenrechner (40, 41) zur Anforderung von Daten zur Einrichtung einer neuen 
Funktionalitat eine Startsequenz (106) sendet, die eine Information zur Iden- 
tifikation des Endgerates (10, 11) beinhaltet. 
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16. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi die Spei- 
chereinrichtung (20) und/oder die Prozessoreinheit (12) zumindest teilweise 
auf einem tragbaren Datenrager (80) ausgebildet sind. 

5 

17. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi die Startse- 
quenz (106) eine Information iiber die Art der ausgelosten Transaktion bein- 
haltet. 

10 18. Endgerat nach Anspruch 9, dadurch gekennzeichnet, dafi es nach dem 
Auslosen einer Transaktion alle dazu in der Speichereinrichtung (20) bereits 
in Form von Daten vorhandenen und ausfiihrbaren Programmbefehle aus- 
fiihrt und ggf . resultierende Zwischenergebnisse der Startsequenz (106) bei- 
fiigt. 

15 

19. Verfahren zur Ausfiihrung einer Transaktion unter Verwendung eines 

Endgerates, das iiber ein Endgeratenetz mit einem in die Transaktionsaus- 

fiihrung eingebunden Knotenrechner verbunden ist, 

mit f olgenden Schritten: 
20 - Auslosen einer Transaktion mittels des Endgerates (10, 11), 

Ubertragen einer die Transaktion bezeichnenden Startsequenz 106) 
vom Endgerat (10, 11) an den Knotenrechner (40, 41), 
Riickiibertragen von Daten, welche im Endgerat (10, 11) die zur Aus- 
fiihrung der Transaktion benotigte Funktionalitat herstellen, vom 
25 Knotenrechner (40, 41) an das Endgerat (10, 11). 



20. Verfahren nach Anspruch 19, dadurch gekennzeichnet, dafi das Endge- 
rat (10, 11) nach Auslosen einer Transaktion priift, inwieweit die bereits in 
der Speichereinrichtung (20) vorhanden Daten eine Ausfiihrung der Trans- 
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aktion ermoglichen und die Transaktion, soweit moglich, unmittelbar aus- 
fuhrt (104). 

21. Verfahren zum Betrieb eines zur Ausfuhrung einer Transaktion geeigne- 
5 ten Endgerates, das iiber ein Endgeratenetz mit einem in die Transaktions- 
ausfiihrung eingebunden Knotenrechner verbunden ist, wobei zur Ausfuh- 
rung einer Transaktion wenigstens eine Funktionalitat benotigt wird, 
mit f olgenden Schritten: 

Uberwachen des Endgerates (10, 11) auf Eintritt eines vorbestimmten 
10 Ereignisses, 

bei Eintritt eines vorbestimmten Ereignisses Ubertragen einer eine 

Transaktion bezeichnenden Startsequenz (106) vom Endgerat (10, 11) 

an den Knotenrechner (40, 41), 

Ruckubertragen von Daten, welche im Endgerat (10,11) mindestens 
15 eine zur Ausfuhrung der Transaktion benotigte Funktionalitat herstel- 

len, vom Knotenrechner (40, 41) an das Endgerat (10,11). 
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(57) Abstract: The invention relates to a system for carrying out 
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